Ich sehe hier zwei Seiten:

1. Die meisten Regierungsstellen, die ich überprüfe / prüfe, neigen dazu zu glauben, dass sie die sichersten sind, weil sie alles sichern, und so ist es auch sollte sein!
   Tatsächlich sind die Organisationen, die den Weg der Sicherheitsnazi ​​beschreiten, in der Regel offener als diejenigen, die diesbezüglich pragmatisch sind. Zum Beispiel kann es in Ordnung sein, Ihre Benutzer mit Smartcards für den physischen und Desktop-Zugriff zu stark zu sperren, aber wenn Sie es ihnen unmöglich machen, ihre Arbeit zu erledigen (wenn ihnen Arbeit von jemand anderem übergeben wurde, der im Urlaub ist, aber Die Arbeit wird einer anderen Karte zugewiesen. Dann können sie sehr gut umgehen - wie das Teilen von Karten. B. vorgeben, Karten zu verlieren, um Ersatz zu erhalten, und hoffen, dass die alten Karten für eine Weile nicht ungültig werden usw.

2. Die meisten Organisationen des privaten Sektors möchten das Nötigste dafür ausgeben Um die Anforderungen der Regulierungsbehörde zu erfüllen, gilt das gegenteilige Argument: Ich muss mich für mehr Sicherheit einsetzen.

ol>

Letztendlich kommt es darauf an Verständnis der Organisation und Ausarbeitung eines angemessenen Kontrollniveaus, das ihrem Risikoappetit entspricht und auf Vorstandsebene verständlich ist. Passend hier ist es möglicherweise nicht sehr sicher, oder es ist Fort Knox mit Glocken - jede Organisation ist anders!

Ja, ich denke es ist möglich, zu paranoid zu sein. Obwohl ich gerade mit einer Reihe von darstellenden Künstlern über Sicherheit gesprochen habe - Leute ohne Geld, die wirklich ihre Zeit damit verbringen müssen, ihre Arbeit zu bewerben und neue Arbeit zu schaffen ... und nicht das Fort Knox der Sicherheit zu bauen, nur damit sie Facebook nutzen können . Sie brauchen gesunden Menschenverstand, ein grundlegendes Verständnis einiger Problembereiche und ein paar billige Tricks. Sie benötigen keine Smartcards (und können diese nicht unterstützen), keine OCD-Einstellung zur Informationsausgabe oder bewaffnete Wachen, die ihren physischen Umkreis sichern. Sicherlich ist dies für ein großes Finanzinstitut oder eine nationale Regierung gerechtfertigt, aber es gibt eine Frage der Grade.

Auch für ein Zielsystem mit hohem Risiko müssen Sie sicherstellen, dass die vorhandenen Sicherheitsmaßnahmen vorhanden sind Sicherheitsmaßnahmen, die helfen werden. In einem Kriegsgebiet ist ein 14-stelliges Passwort ein No-Go - zu schwer, um unter Stress zu tippen. Aber physische Sicherheit ist ein Muss. Machen Sie Passwörter im Umkreis einfacher und stellen Sie sicher, dass Sie Leute mit Waffen am Rand haben. Sie müssen für die Umgebung Ihres Systems entwerfen.

Eines der besten Dinge, die ich in den letzten Jahren gesehen habe, ist das Konzept der "Risikoanalyse". Kurz gesagt - wie wertvoll ist das, was Sie schützen? Wie teuer ist der Schutzmechanismus? Wie wahrscheinlich ist es, dass jemand tatsächlich die Sicherheitsanfälligkeit ausübt, die Sie schützen? Wie geschickt und ressourcenreich werden Ihre Angreifer sein und wonach werden sie suchen?

Am Ende ist jede Sicherheit die beste Anstrengung, es gibt keine perfekte Sicherheit. Also, was verbringst du Zeit damit zu perfektionieren? Und ist das Geld und die Zeit, um diese Dinge zu schützen, den Wert dieser Dinge wert?

Das ist mein Gedanke für die Beantwortung der Frage, wie viel genug ist.

Wenn Sie Schneier lesen, sind Sie mit einer der Grundvoraussetzungen für "intelligente" Sicherheit vertraut, die er ebenfalls stark vorantreibt:

Sicherheit ist ein Kompromiss.

Es ist einfach nicht sinnvoll, auf Ihren Systemen vollmetallisch paranoid zu sein, da die Sicherheit sowieso NIEMALS 100% sein kann (früher wurde uns gesagt, dass der einzige Weg, 100% zu sein, das Herausziehen des Netzsteckers ist der Computer ... jetzt wissen wir, dass das immer noch nicht 100% ist.
Außerdem ist es nicht sinnvoll, mehr auszugeben, als Sie schützen ... ZB Würden Sie jemandem (Bank, Sicherheitspersonal usw.) 1000 $ zahlen, nur um 100 $ zu schützen? Nein natürlich nicht.

Und das ist wirklich das Fleisch davon, was angemessen ist, hängt sehr davon ab, wer du bist, wo du bist, was du hast, wer dich holen will usw. usw. - wie @Rory schrieb.

Sie sollten also Ihre knappen Sicherheitsressourcen besser an einem intelligenten Ort ausgeben und den Rest sparen - und es wird da sein, wenn es einen unvorhersehbaren Hack gibt ( wenn , nicht wenn).

Woher wissen Sie, wo Sie Ihre Anstrengungen unternehmen müssen?
Woher wissen Sie, wann es sicher genug ist?

Wie @bethlakshmi betonte, hilft hier "Risikoanalyse" .

Insbesondere empfehle ich eine strukturierte Übung zur Bedrohungsmodellierung, um die geschützten Assets, die Bedrohungsagenten (die Ihnen Schaden zufügen möchten), die Bedrohungspfade / -bäume (wie sie es tun werden) zu ermitteln. und so weiter. Dies kann Ihre wahrscheinlichen und sogar die weniger wahrscheinlichen Bedrohungen sehr effektiv abbilden.
Kombinieren Sie dies mit einem quantitativen Risikoanalyse-Framework (wie FAIR), und Sie werden kennen genau , wie viel Sie für die Minderung jeder Bedrohung ausgeben müssen.

Wie @Rory betonte, werden Sie wahrscheinlich feststellen, dass Sie trotz Ihrer Paranoia zu viel Geld und Ressourcen am falschen Ort einsetzen.

Der effektivste Weg, um aus der Sicherheits-OCD herauszukommen, ist die Entwicklung eines Bedrohungsmodells. Wem widersetzen Sie sich? Eine russische Mafia, die dich mit Randomsware erpressen will? Das unachtsame Schnüffeln der NSA? Vielleicht die Hauptlast des gesamten FBI / CIA / NSA-Komplexes (wenn Sie Snowden oder ähnliches sind)? Oder versuchen Sie nur, Ihre kleine Schwester davon abzuhalten, Online-Spiele auf Ihrem Konto zu spielen? Wie lange muss diese Bedrohung Sie angreifen? Versuchen sie, ein Alarmsystem einzuschalten, damit sie Sie in 30 Sekunden ausrauben können, oder versuchen sie, Advanced Persistent Threats subtil in Ihr LAN zu injizieren, um die Kontrolle über Ihre Kryptoschlüssel über ein Jahrzehnt hinweg zu übernehmen? P. >

Verwenden Ihre Angreifer keine Gummischlauch-Kryptoanalysetechniken?

Mit diesen Fragen können Sie verstehen, um welche Bedrohung es sich tatsächlich handelt. Ohne das ist es nicht wirklich möglich festzustellen, wie schlimm ein Angriff für Sie tatsächlich ist, und OCD-Paranoia schleicht sich ein, wenn Sie versuchen, sich gegen alles zu verteidigen.

Eine andere Sache, die hilft, ist ein Zitat, auf das ich mich verlasse. Sie erwähnen, dass etwas zu 100% zuverlässig / sicher ist, wie z. B. nukleare Abschreckungsmittel. Ein kleines Geheimnis: nichts ist 100% sicher, nicht einmal die Atomwaffen unserer Nation. Das nächste, das ich gesehen habe, ist der L4-Kernel, für den ein mechanisch unterstützter Beweis zeigte, dass sich die L4-Kernel-Implementierung, die von einem perfekt 100% standardkonformen Compiler kompiliert wurde, genau so verhält, wie es die API vorschreibt. Wie auch immer, das Zitat, das ich Kevin Mitnick immer zugeschrieben habe, aber kürzlich festgestellt habe, dass es eher von Gene Spafford gesagt wird:

Das einzige wirklich sichere System ist eines, das ausgeschaltet ist. Unplugged, in einen Betonblock gegossen und in einem mit Blei ausgekleideten Raum in einem unterirdischen Bunker mit bewaffneten Wachen versiegelt, und selbst dann überprüfte ich es von Zeit zu Zeit.

Wenn Sie 10 dumme Dinge identifizieren können, die selbst "erfahrene" IT-Mitarbeiter tun, und sich dafür entscheiden, diese 10 dummen Dinge nicht zu tun, können Sie Ihr Selbstvertrauen stärken und sich emotional besser fühlen.

Beispiel: Herunterladen Programmieren Sie .exe's und sogar .lib's für Open Source-Programme von weit entfernten Orten und unbekannten Personen, nur weil Sie zu faul sind, den Quellcode selbst zu kompilieren.